Malware ທີ່ໂຈມຕີ NetBeans ເພື່ອໃສ່ backdoors ເຂົ້າໄປໃນໂຄງການທີ່ສ້າງຂຶ້ນ

GitHub ກໍານົດ Malware ທີ່ໂຈມຕີໂຄງການໃນ NetBeans IDE ແລະໃຊ້ຂະບວນການສ້າງເພື່ອເຜີຍແຜ່ຕົວມັນເອງ. ການສືບສວນໄດ້ສະແດງໃຫ້ເຫັນວ່າການນໍາໃຊ້ malware ໃນຄໍາຖາມ, ເຊິ່ງໄດ້ຮັບຊື່ Octopus Scanner, backdoors ໄດ້ຖືກປະສົມປະສານຢ່າງລັບໆເຂົ້າໄປໃນ 26 ໂຄງການເປີດທີ່ມີ repositories ໃນ GitHub. ຮ່ອງຮອຍທໍາອິດຂອງການສະແດງອອກຂອງ Octopus Scanner ມີວັນທີກັບເດືອນສິງຫາ 2018.

malware ສາມາດລະບຸໄຟລ໌ໂຄງການ NetBeans ແລະເພີ່ມລະຫັດຂອງມັນໃສ່ໄຟລ໌ໂຄງການແລະລວບລວມໄຟລ໌ JAR. ສູດການຄິດໄລ່ການເຮັດວຽກຕົ້ມລົງໄປຫາໄດເລກະທໍລີ NetBeans ກັບບັນດາໂຄງການຂອງຜູ້ໃຊ້, ຄິດໄລ່ໂຄງການທັງຫມົດໃນໄດເລກະທໍລີນີ້, ຄັດລອກສະຄິບທີ່ເປັນອັນຕະລາຍໄປຫາ. nbproject/cache.dat ແລະເຮັດການປ່ຽນແປງໄຟລ໌ nbproject/build-impl.xml ໂທຫາ script ນີ້ທຸກຄັ້ງທີ່ໂຄງການຖືກສ້າງຂຶ້ນ. ເມື່ອປະກອບ, ສໍາເນົາຂອງ malware ໄດ້ຖືກລວມເຂົ້າໃນໄຟລ໌ JAR ຜົນໄດ້ຮັບ, ເຊິ່ງກາຍເປັນແຫຼ່ງຂອງການແຈກຢາຍຕື່ມອີກ. ຕົວຢ່າງ, ໄຟລ໌ທີ່ເປັນອັນຕະລາຍຖືກໂພສໃສ່ບ່ອນເກັບມ້ຽນຂອງ 26 ໂຄງການ open source ທີ່ກ່າວມາຂ້າງເທິງ, ເຊັ່ນດຽວກັນກັບໂຄງການອື່ນໆຕ່າງໆໃນເວລາເຜີຍແຜ່ການສ້າງສະບັບໃໝ່.

ເມື່ອໄຟລ໌ JAR ທີ່ຕິດເຊື້ອໄດ້ຖືກດາວໂຫຼດແລະເປີດຕົວໂດຍຜູ້ໃຊ້ອື່ນ, ວົງຈອນຂອງການຄົ້ນຫາ NetBeans ແລະການແນະນໍາລະຫັດທີ່ເປັນອັນຕະລາຍໄດ້ເລີ່ມຂຶ້ນໃນລະບົບຂອງລາວ, ເຊິ່ງກົງກັບຮູບແບບການປະຕິບັດງານຂອງໄວຣັສຄອມພິວເຕີທີ່ແຜ່ລາມຕົນເອງ. ນອກເຫນືອຈາກການທໍາງານການຂະຫຍາຍພັນດ້ວຍຕົວເອງ, ລະຫັດທີ່ເປັນອັນຕະລາຍຍັງລວມເຖິງການທໍາງານຂອງ backdoor ເພື່ອສະຫນອງການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກຂອງລະບົບ. ໃນເວລາເກີດເຫດ, ເຊີບເວີຄວບຄຸມ backdoor (C&C) ບໍ່ເຄື່ອນໄຫວ.

ໃນຈໍານວນທັງຫມົດ, ໃນເວລາທີ່ສຶກສາໂຄງການທີ່ໄດ້ຮັບຜົນກະທົບ, 4 variants ຂອງການຕິດເຊື້ອໄດ້ຖືກກໍານົດ. ໃນຫນຶ່ງໃນທາງເລືອກ, ເພື່ອເປີດໃຊ້ backdoor ໃນ Linux, ໄຟລ໌ autostart “$HOME/.config/autostart/octo.desktop” ໄດ້ຖືກສ້າງຂື້ນ, ແລະໃນ Windows, ວຽກງານຕ່າງໆໄດ້ຖືກເປີດຕົວຜ່ານ schtasks ເພື່ອເປີດໃຊ້ມັນ. ໄຟລ໌ອື່ນໆທີ່ສ້າງຂຶ້ນລວມມີ:

• $HOME/.local/share/bbauto
• $HOME/.config/autostart/none.desktop
• $HOME/.config/autostart/.desktop
• $HOME/.local/share/Main.class
• $HOME/Library/LaunchAgents/AutoUpdater.dat
• $HOME/Library/LaunchAgents/AutoUpdater.plist
• $HOME/Library/LaunchAgents/SoftwareSync.plist
• $HOME/Library/LaunchAgents/Main.class

backdoor ສາມາດຖືກນໍາໃຊ້ເພື່ອເພີ່ມ bookmarks ໃສ່ລະຫັດທີ່ພັດທະນາໂດຍນັກພັດທະນາ, ລະຫັດຮົ່ວໄຫລຂອງລະບົບທີ່ເປັນເຈົ້າຂອງ, ລັກຂໍ້ມູນລັບແລະຍຶດເອົາບັນຊີ. ນັກຄົ້ນຄວ້າຈາກ GitHub ບໍ່ໄດ້ອອກກົດລະບຽບວ່າກິດຈະກໍາທີ່ເປັນອັນຕະລາຍບໍ່ຈໍາກັດພຽງແຕ່ NetBeans ແລະອາດຈະມີຕົວແປອື່ນໆຂອງ Octopus Scanner ທີ່ຖືກຝັງຢູ່ໃນຂະບວນການສ້າງໂດຍອີງໃສ່ Make, MsBuild, Gradle ແລະລະບົບອື່ນໆເພື່ອເຜີຍແຜ່ຕົວເອງ.

ຊື່ຂອງໂຄງການທີ່ໄດ້ຮັບຜົນກະທົບບໍ່ໄດ້ກ່າວເຖິງ, ແຕ່ພວກເຂົາສາມາດເປັນໄດ້ງ່າຍ ເພື່ອຊອກຫາ ຜ່ານການຄົ້ນຫາໃນ GitHub ໂດຍໃຊ້ຫນ້າກາກ "cache.dat". ໃນ​ບັນ​ດາ​ໂຄງ​ການ​ທີ່​ພົບ​ເຫັນ​ຮ່ອງ​ຮອຍ​ຂອງ​ກິດ​ຈະ​ກໍາ​ອັນ​ຕະ​ລາຍ​: V2Mp3Player, JavaPacman, Kosim-ກອບ, Punto de Venta, 2D-ຟີຊິກ-ຈຳລອງ, PacmanGame, ຮີດສັດ, SnakeCenterBox4, Secuencia Numerica, ສູນໂທ, ProyectoGerundio, pacman-java_ia, Super Mario-FR-.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru